KRITIS-Dachgesetz
Worum geht es beim KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz ist Teil der europäischen Strategie zur Stärkung der physischen und organisatorischen Resilienz Kritischer Infrastrukturen. Es ergänzt bestehende regulatorische Rahmenwerke wie das BSI-Gesetz, die BSI-Kritisverordnung sowie die europäische NIS-2-Richtlinie. Während die NIS-2 primär auf Cybersicherheit abzielt, verfolgt das KRITIS-DachG einen umfassenderen Ansatz, der auch physische Sicherheit, organisatorische Vorsorge und übergreifende Resilienzmaßnahmen einbezieht.
Ziel des KRITIS-Dachgesetzes ist es, die Funktionsfähigkeit kritischer Dienstleistungen auch in Krisensituationen sicherzustellen. Dazu gehören unter anderem Naturkatastrophen, technische Ausfälle, Sabotage oder gezielte Angriffe auf Infrastrukturbetreiber. Unternehmen sollen verpflichtet werden, Risiken systematisch zu identifizieren, geeignete Schutzmaßnahmen umzusetzen und ihre Krisenreaktionsfähigkeit kontinuierlich zu verbessern.
- Systematische Identifikation und Bewertung von Risiken für kritische Dienstleistungen
- Berücksichtigung physischer, organisatorischer und IT-bezogener Risiken
- Regelmäßige Aktualisierung von Risikoanalysen
- Alle Maßnahmen müssen auf Basis der nationalen Risikoanalyse und Risikobewertung erfolgen
- Klare Verantwortlichkeiten für Resilienz und Sicherheitsmaßnahmen
- Einbindung der Unternehmensleitung in Sicherheits- und Resilienzprozesse
- Einführung und Aufrechterhaltung angemessener technischer und organisatorischer Maßnahmen
- Sicherstellung der Betriebsfähigkeit auch bei Störungen oder Ausfällen
- Schutz kritischer Anlagen, Systeme und Prozesse
- Nachvollziehbare Dokumentation von Risikoanalysen und Schutzmaßnahmen
- Vorbereitung auf mögliche Prüfungen durch zuständige Behörden
- Nachweis der Einhaltung regulatorischer Anforderungen
- Erhöhte regulatorische Risiken
- mögliche aufsichtsrechtliche Maßnahmen
- Reputationsrisiken und Haftungsfragen bei Sicherheitsvorfällen
Was müssen Unternehmen jetzt konkret tun?
Verantwortliche sollten frühzeitig strukturierte Maßnahmen einleiten, um die Anforderungen des KRITIS-Dachgesetzes systematisch zu adressieren und bestehende Maßnahmen zu komplementieren.
Empfohlene erste Schritte: Betroffenheitsanalyse durchführen, bestehende Sicherheits- und Resilienzmaßnahmen bewerten, Governance und Verantwortlichkeiten klar definieren, Risikomanagement erweitern und systematisieren, Dokumentation und Nachweisfähigkeit sicherstellen.
Typische Herausforderungen in der Praxis sind unklare Verantwortlichkeiten, unvollständige Risikoanalysen oder fehlende Integration von Resilienzanforderungen in bestehende Maßnahmen, Prozesse und Managementsysteme. Hierbei sind umfangreiche Vorgaben vom Gesetzgeber zu berücksichtigen, die u. a. durch die Veröffentlichung von Vorlagen übergeben werden.
- Prüfen, ob die eigene Organisation unter die KRITIS-Definition fällt
- Analyse kritischer Geschäftsprozesse und Dienstleistungen
- Bewertung bestehender regulatorischer Verpflichtungen
- Überprüfung vorhandener Maßnahmen
- Identifikation von Lücken im Risikomanagement und in der Resilienzplanung
- Bewertung vorhandener Notfall- und Krisenmanagementprozesse
- Festlegung klarer Zuständigkeiten für KRITIS-Compliance und Resilienz
- Einbindung der Geschäftsleitung
- Integration in bestehende Governance-Strukturen
- Durchführung strukturierter Risikoanalysen (auf Basis der nationalen Risikoanalyse und Risikobewertung)
- Berücksichtigung physischer und organisatorischer Risiken
- Ableitung geeigneter Schutzmaßnahmen
- Aufbau oder Erweiterung einer strukturierten Compliance-Dokumentation
- Vorbereitung auf mögliche regulatorische Prüfungen
Welche Unternehmen müssen jetzt handeln?
Das KRITIS-Dachgesetz richtet sich an Betreiber Kritischer Infrastrukturen im Sinne der KRITIS-Verordnung (KritisV). Dazu gehören Organisationen, deren Dienstleistungen für die Aufrechterhaltung zentraler gesellschaftlicher Funktionen von wesentlicher Bedeutung sind.
Energie // Transport und Verkehr // Finanzwesen // Sozialversicherung // Gesundheitswesen // Wasser // Ernährung // Informationstechnik und Telekommunikation // Weltraum // Siedlungsabfallentsorgung // Bundesverwaltung
Betroffen sind Organisationen aus den betroffenen Branchen, die kritische Schwellenwerte hinsichtlich Versorgungsrelevanz, Kapazität oder Nutzerzahl erreichen.
Auch Unternehmen, die bislang nicht als klassische KRITIS-Betreiber galten, könnten im Zuge regulatorischer Anpassungen künftig stärker in den Fokus geraten
secunet steht Ihnen bei allen Fragen rund um das KRITIS-Dachgesetz zur Seite. Schicken Sie uns einfach eine Anfrage über das Kontaktformular. Wir beraten Sie gerne.
